PT-2022-17711 · Poetry · Poetry

Paul Gerste · Publicado 2022-03-21 · Atualizado 2023-10-24 · CVE-2022-26184

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Poetry versões 1.1.9 e anteriores

Descrição

O problema está relacionado a um caminho de pesquisa não confiável no Poetry, o que faz com que o aplicativo apresente comportamentos inesperados quando os usuários executam comandos do Poetry em um diretório que contenha conteúdo malicioso. Isso ocorre quando o aplicativo é executado no sistema operacional Windows.

Recomendações

Para as versões 1.1.9 e anteriores, atualize para uma versão superior à 1.1.9 para resolver o problema. Como solução temporária, considere evitar a execução de comandos do Poetry em diretórios que possam conter conteúdo malicioso.

Correção

Untrusted Search Path

Enumeração de Fraquezas

CWE-426

Identificadores relacionados

CVE-2022-26184

GHSA-XR2C-5W89-63PV

PYSEC-2022-234

Produtos afetados

Poetry

Referências · 16

• https://github.com/python-poetry/poetry/releases/tag/1.1.9 · Nota
• https://github.com/python-poetry/poetry-core/pull/205/commits/fa9cb6f358ae840885c700f954317f34838caba7 · Correção
• https://github.com/python-poetry/poetry-core/commit/1e1a109a1009daaab2367ce90c997f0cbbb0c1d1 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/poetry/PYSEC-2022-234.yaml · Nota
• https://sonarsource.com/blog/securing-developer-tools-package-managers · Nota
• https://osv.dev/vulnerability/CVE-2022-26184 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-26184 · Nota de Segurança
• https://github.com/python-poetry · Nota
• https://github.com/advisories/GHSA-xr2c-5w89-63pv · Nota
• https://t.me/cvenotify/59921 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-xr2c-5w89-63pv · Aviso do Fabricante
• https://t.me/cibsecurity/39363 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2022-26184 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-26184 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-26184 · Aviso do Fabricante